CVE-2025-61687 in Flowise
要約
〜によって VulDB • 2026年06月08日
Flowiseは、カスタマイズされた大規模言語モデル（LLM）フローを構築するためのドラッグ＆ドロップ型ユーザーインターフェースです。FlowiseAIバージョン3.0.7にはファイルアップロードの脆弱性があり、認証済みユーザーが適切な検証なしに任意のファイルをアップロードできます。これにより、攻撃者はサーバー上に悪意のあるNode.js製Webシェルを永続的に保存することが可能になり、結果としてリモートコード実行（RCE）につながる可能性があります。システムは、アップロード時にファイル拡張子、MIMEタイプ、またはファイルコンテンツを検証しません。その結果、Node.jsベースのWebシェルなどのスクリプトがアップロードされ、サーバー上に永続的に格納されます。これらのシェルはトリガーされると任意のコマンドを実行可能なHTTPエンドポイントを公開します。アップロードされたシェルは自動的に実行されるわけではありませんが、その存在により、管理者のエラーや他の脆弱性と組み合わせた攻撃を通じて将来の悪用が可能になります。これはシステムの整合性および機密性に対する高重大度の脅威です。公開時点では、既知のパッチ済みバージョンはありません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.